1 УХВАЛА ІМЕНЕМ УКРАЇНИСправа № 335/8727/24 1-кс/335/3432/2024
07 серпня 2024 року м. Запоріжжя
Під час досудового розслідування встановлено, що до Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України надійшла заява про вчинення кримінального правопорушення від Amazon Web Services, Inc. (надалі - «AWS Amazon») реєстраційний номер НОМЕР_1 ( НОМЕР_2 ) про те, що встановлена особа, з жовтня 2018 року по теперішній час, використовуючи можливості хостинг-провайдера « ІНФОРМАЦІЯ_1 », несанкціоновано отримали доступ (скомпрометували) близько 5085 облікових записів клієнтів AWS на котрих розгорнули роботу віртуальних машин для майнінгу криптовалюти, використовуючи можливості серверного обладнання «AWS Amazon». Зазначені дії призвели до загального збитку компанії « ІНФОРМАЦІЯ_1 » у розмірі 4,5 мільйони доларів США.
Проведеними слідчими (розшуковими) та процесуальними діями у вказаному вище кримінальному провадженні, у тому числі за повідомленням Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України встановлено, що до вчинення злочинів можуть бути причетні наступні особи: ОСОБА_5 , ІНФОРМАЦІЯ_2 , РНОКПП: НОМЕР_3 та ОСОБА_6 , ІНФОРМАЦІЯ_3 , РНОКПП: НОМЕР_4 .
За матеріалами кримінального провадження встановлено, що ОСОБА_5 отримав доступ до скомпрометованих акаунтів клієнтів, після отримання облікових даних клієнтів невідомими способами на стороні клієнта в рамках моделі спільної відповідальності. У кожному з 5085 акаунтів AWS запустивши певні хмарні обчислювальні ресурси AWS, такі як Amazon Elastic Compute Cloud (Amazon EC2), лямбда-функції або Sagemaker Notebooks за допомогою електронних поштових скриньок і паролів, шлях отримання яких невідомий. Використовуючи скомпрометовані облікові дані, ОСОБА_5 увійшов до управління консолі AWS клієнтів та після успішного входу здійснив оцінку облікових записів на наявність обмежень, паролів та існуючі ключі доступу. В подальшому було змінено скомпрометовані облікові записи, створено нових користувачів, додано профілі входу, змінено ключі доступу та пов`язані облікові записи до «AWS» та використовував новоутворені аккаунти вже на раніше створених (незаконно отриманих) облікових записах без відома клієнтів хостинг-провайдера.
Ключі доступу дозволяли ОСОБА_5 керувати службами «AWS» у скомпрометованих облікових записах, а за допомогою серії скриптових команд, останній мав змогу виділяти хости « ОСОБА_7 », тобто цілі фізичні сервери були призначені лише для керування обліковими записами, що призводило до дуже високих збитків компанії « ІНФОРМАЦІЯ_1 » та для запуску цих обчислювальних ресурсів використовувалися скриптові команди, які завантажували програмне забезпечення для майнінгу, яке підключалося до майнінг-пулу і містило ідентифікаційний номер гаманця (WIN), який він контролював. Скриптові команди надходили з одного і того ж середовища розробки, що складається з AWS Software Development Kit, мов програмування Python або Go, операційної системи Linux або MacOS і низькорівневого пакету розробки, який забезпечує доступ до Amazon Services (Botocore). Скриптові команди були виявлені в публічних ресурсах AWS та у файлах, розміщених у відкритому доступі на сервісі ІНФОРМАЦІЯ_4 .
З жовтня 2018 року по теперішній час компрометуючі дії здійснювалися з однієї з наступних IP-адрес: НОМЕР_5 , НОМЕР_6 , НОМЕР_7 , НОМЕР_8 , НОМЕР_9 , НОМЕР_10 , НОМЕР_11 перебувають у володінні оператора (провайдера) телекомунікаційних послуг « ІНФОРМАЦІЯ_5 » («Triolan»), ТОВ " ІНФОРМАЦІЯ_6 ", код ЄДРПОУ НОМЕР_12 , юридична адреса: АДРЕСА_1 , та НОМЕР_13 , НОМЕР_14 перебувають у володінні оператора (провайдера) телекомунікаційних послуг ТОВ « ІНФОРМАЦІЯ_7 », код ЄДРПОУ НОМЕР_15 , юридична адреса: АДРЕСА_2 .
Надалі встановлено, IP-адреса 109.87.232.207 та ІР-адреси НОМЕР_13 , НОМЕР_14 дозволені виключно двом обліковим записам AWS, зареєстрованим на гр. ОСОБА_5 , ІНФОРМАЦІЯ_2 Обліковий запис AWS НОМЕР_16 був зареєстрований на ім`я " ОСОБА_8 ", з відповідною адресою електронної пошти ІНФОРМАЦІЯ_8
За матеріалами кримінального провадження, в ході виконання доручення працівниками Управління протидії кіберзлочинам в Запорізькій області Департаменту кіберполіції Національної поліції України було встановлено, що з метою підключення до ресурсів AWS Amazon, а саме: ІНФОРМАЦІЯ_9 (Amazon EC2), ІНФОРМАЦІЯ_1 , ОСОБА_5 використовував вищевказані ІР-адреси, а саме в період з 27.11.2018 по 10.09.2023 ІР-адреси НОМЕР_5 , НОМЕР_6 , НОМЕР_7 , НОМЕР_8 , НОМЕР_9 , НОМЕР_10 , НОМЕР_11 та в період з 19.10.2023 по 19.07.2024 ІР-адреси НОМЕР_13 (дата та час: 2024-03-20 12:13:10; 2024-03-19 12:19:04; 2024-03-19 05:53:52; 2024-03-18 19:04:50; 2024-03-18 16:01:36; 2024-03-17 07:41:44; 2024-03-16 08:07:03; 2024-03-15 22:46:43; 2024-03-09 13:58:52; 2024-03-09 10:44:12; 2024-03-08 17:16:01; 2024-03-08 14:40:04; 2024-03-08 09:50:39; 2024-03-07 20:57:24; 2024-03-07 15:40:20), НОМЕР_14 (дата та час: 2024-03-07 06:43:19; 2024-03-07 01:47:07; 2024-03-07 00:58:26; 2024-03-06 23:02:43; 2024-03-06 22:53:53; 2024-03-01 17:52:19; 2024-02-29 14:49:31; 2024-02-28 12:47:02; 2024-02-27 16:52:04; 2024-02-25 05:49:04; 2024-01-18 17:41:00; 2024-01-17 14:45:59).
З метою встановлення події кримінального правопорушення (час, місце, спосіб та інші обставини вчинення кримінального правопорушення), осіб, які його вчинили, підтвердження чи спростування причетності вказаних осіб до вчиненого злочину, у ході досудового розслідування виникла необхідність в отриманні інформації, яка містить охоронювану законом таємницю, що перебуває у володінні « ІНФОРМАЦІЯ_5 » («Triolan»), ТОВ " ІНФОРМАЦІЯ_6 ", код ЄДРПОУ НОМЕР_12 , юридична адреса: АДРЕСА_1 , в період часу з 27.11.2018 по 10.09.2023, з можливістю ознайомитись з ними, зробити копії та вилучити їх, також просить розгляд даного клопотання провести без участі представника « ІНФОРМАЦІЯ_5 » («Triolan»), ТОВ " ІНФОРМАЦІЯ_6 ".
В судове засідання слідча не з`явилася, подала заяву про розгляд клопотання за її відсутності.
На підставі ч. 2 ст. 163 КПК України слідчий суддя визнав за можливе проводити розгляд клопотання без виклику особи, у володінні якої знаходяться речі і документи.
Згідно норми ч. 4 ст. 107 КПК України під час розгляду клопотання слідчим суддею фіксування за допомогою технічних засобів не здійснювалась.
Перевіривши наданні матеріали клопотання та дослідивши надані докази, з врахуванням позиції слідчої, слідчий суддя приходить до наступного висновку.
Відповідно до частини 1 статті 159 КПК України тимчасовий доступ до речей і документів полягає у наданні стороні кримінального провадження особою, у володінні якої знаходяться такі речі і документи, можливості ознайомитися з ними, зробити їх копії та, у разі прийняття відповідного рішення слідчим суддею, судом, вилучити їх (здійснити виїмку).
За нормою частини шостої статті 163 КПК України слідчий суддя, суд постановляє ухвалу про надання тимчасового доступу до речей і документів, які містять охоронювану законом таємницю, якщо сторона кримінального провадження, крім обставин, передбачених частиною п`ятою цієї статті, доведе можливість використання як доказів відомостей, що містяться в цих речах і документах, та неможливість іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів. Доступ особи до речей і документів, які містять охоронювану законом таємницю, здійснюється в порядку, визначеному законом. Доступ до речей і документів, що містять відомості, які становлять державну таємницю, не може надаватися особі, що не має до неї допуску відповідно до вимог закону.
Зазначені органом досудового розслідування обставини вказують, що тимчасовий доступ до документів надасть органу досудового розслідування можливість встановити фактичні обставини вчинення ймовірного злочину, які можуть мати доказове значення під час судового розгляду, при цьому підтвердження обставин, які передбачається довести за допомогою цих документів в інший спосіб є неможливим.
Проаналізувавши доводи клопотання та додані до нього матеріали, слідчий суддя дійшов висновку, що інформація, яка міститься в документах, зазначених у клопотанні, має суттєве значення для встановлення важливих обставин у кримінальному провадженні, може бути використана як доказ, іншими способами довести обставини, які передбачається довести за допомогою цих речей і документів, неможливо, а тому наявні підстави для надання тимчасового доступу до цих документів.
Керуючись ст.ст. 40, 131, 132, 159-164 КПК України, -
Клопотання задовольнити.
Надати старшій слідчій СВ ВП№1 ЗРУП ГУНП в Запорізькій області капітану поліції ОСОБА_3 , старшій слідчій СВ ВП№1 ЗРУП ГУНП в Запорізькій області капітану поліції ОСОБА_9 тимчасовий доступ до документів, в яких містяться відомості про користувача ІР-адрес: « НОМЕР_5 , НОМЕР_6 , НОМЕР_7 , НОМЕР_8 , НОМЕР_9 , НОМЕР_17 », що надавались у користування з 27.11.2018 по 10.09.2023 та перебувають у володінні « ІНФОРМАЦІЯ_5 » (« ІНФОРМАЦІЯ_10 »), ТОВ " ІНФОРМАЦІЯ_6 ", код ЄДРПОУ НОМЕР_12 , юридична адреса: АДРЕСА_1 , а саме: копій договорів щодо надання телекомунікаційних послуг, фактичних адрес надання послуг, контактних даних абонентів, серій та номерів паспортів, контактних номерів телефонів абонентів, відомості про МАС-адреса кінцевого обладнання абонентів, відомостей про дату, час, спосіб та суму оплати телекомунікаційних послуг, відомостей щодо підключення до ресурсів AWS Amazon, а саме: ІНФОРМАЦІЯ_9 (Amazon EC2), ІНФОРМАЦІЯ_1 ;
- копій договорів щодо надання телекомунікаційних послуг, фактичних адрес надання послуг, відомості про МАС-адреса кінцевого обладнання абонентів, відомостей про дату, час, спосіб та суму оплати телекомунікаційних послуг, відомостей щодо підключення до ресурсів AWS Amazon, а саме: ІНФОРМАЦІЯ_9 (Amazon EC2), ІНФОРМАЦІЯ_1 між « ІНФОРМАЦІЯ_5 » («Triolan»), ТОВ " ІНФОРМАЦІЯ_6 " та ОСОБА_5 , ІНФОРМАЦІЯ_2 ;
- копій договорів щодо надання телекомунікаційних послуг, фактичних адрес надання послуг, відомості про МАС-адреса кінцевого обладнання абонентів, відомостей про дату, час, спосіб та суму оплати телекомунікаційних послуг, відомостей щодо підключення до ресурсів AWS Amazon, а саме: ІНФОРМАЦІЯ_9 (Amazon EC2), ІНФОРМАЦІЯ_1 між « ОСОБА_10 » («Triolan»), ТОВ " ІНФОРМАЦІЯ_6 " та ОСОБА_11 , ІНФОРМАЦІЯ_3 ;
- копій договорів щодо надання телекомунікаційних послуг, контактних даних абонентів, серій та номерів паспортів, контактних номерів телефонів абонентів, відомості про МАС-адреса кінцевого обладнання абонентів, відомостей про дату, час, спосіб та суму оплати телекомунікаційних послуг, відомостей щодо підключення до ресурсів AWS Amazon, а саме: ІНФОРМАЦІЯ_9 (Amazon EC2), ІНФОРМАЦІЯ_1 за адресою: АДРЕСА_3 та АДРЕСА_4 , з можливістю вилучення їх завірених належним чином копій.
Визначити строк дії ухвали протягом шестидесяти днів з дня її постановлення слідчим суддею.
Умисне невиконання ухвали суду тягне за собою кримінальну відповідальність, передбачену ст. 382 КК України.
Особа, яка пред`являє ухвалу про тимчасовий доступ до речей і документів, зобов`язана залишити володільцю речей і документів опис речей і документів, які були вилучені на виконання ухвали слідчого судді.
У випадку вилучення речей і документів, за відсутністю яких юридична особа позбавляється можливості здійснювати свою діяльність ухвала може бути оскаржена до Запорізького апеляційного суду протягом п`яти днів з дня її оголошення.
Ухвала є остаточною і оскарженню не підлягає.

Слідчий суддя ОСОБА_1